SQLインジェクションがブロックされているかどうかをテストするには？

SQLインジェクションがサイトのテキストボックスで機能しないかどうかをテストするにはどうすればよいですか？SQLインジェクションがブロックされているかどうかをテストするには？

2011-01-09 Seth

もっと具体的にする必要があります。テキストをデータベースに入力する前に、どのようにエスケープしていますか？ – Savetheinternet

内部コードを表示できますか？テキストボックスの使用方法一般的な方法はありません。使用しているクエリに依存します。 –

通常、入力フィールドのデータがどのように実際の選択に到達するか考える必要があります。 SQL文を終了して別の文を開始するには、そのフィールドにどのような種類のテキストを置くことができるのかを知ったら、

たとえば、コードに'select * from table where id = ' . $_GET['id']というようなことをしていて、script.php?id=0%20OR%20true; drop table table;で電話すると、2つのステートメントを実行できます。

しかし、一般に、連結することによって選択を構築することは避けるべきです。他のレスポンダが示唆しているように、バインドされたパラメータを使う方が良い。

2011-01-09 17:59:42

バインドされたパラメータなど、設計上不可能であることを保証するメカニズムを使用します。その後、SQLインジェクション抵抗のテストは必要ありません。

別の言い方をすると、アドホックエスケープコードに頼らないでください。それは100％正しいとは思わないでしょう。

2011-01-09 17:57:27

それでは、単純なアプリケーションでは成功したかどうかをどのようにテストしますか？ –

@Jens：IMHO、この種のことは意味あることに単体テストすることは非常に難しいです。あらかじめ定義された「典型的な」攻撃文字列のリストを使ってテストすることもできますが、実際にはそれほど実証されていません。これは本当にシステムレベルの設計の一貫性の問題です。 –

私は同意します。テストする必要はありません。さもなければ、テストするのはすべて – gbn

ただ、この文字列を入力してください：何のエスケープアクションではありません

'";

場合、これは確かにあなたのSQLを中断します。

2011-01-09 17:58:48 Daniel

通常のチェックでは、すべての特殊記号をフィールドに一度追加して、SQLエラーがないかどうかを確認します。エラーがなく、レコードがDBに正しく挿入されていれば問題ありません。

2011-01-09 17:59:21 BarsMonster

あなたはあなたのコードに対する攻撃を作成するには、このリストを使用することができます。http://ha.ckers.org/sqlinjection/

また、「危険な」文字と文字の組み合わせのリストをアセンブルし、それから（擬似）-random入力値を作成することができます。

2011-01-09 18:00:48

答えて